🔴 《严重安全漏洞：CVE-2026-17684》

CVSS 评分: 严重（9.6）　　状态: Awaiting Analysis　　发布时间: 2026-07-30

漏洞简介

该漏洞（CVE-2026-17684）存在于 Google Chrome 浏览器 iOS 版本中，属于对不可信输入验证不足（Insufficient validation of untrusted input）的安全缺陷，对应 CWE-20 分类。具体来说，在 iOS 平台上的 Chrome 浏览器（版本低于 151.0.7922.72）中，当渲染进程（renderer process）已被攻击者远程攻陷的情况下，攻击者可以通过构造恶意的 HTML 页面，利用该验证缺陷进一步实现沙箱逃逸（sandbox escape）。这意味着攻击者能够突破浏览器沙箱的安全隔离机制，在受影响的设备上获得更高的执行权限。

根据 Chromium 安全评级，该漏洞的严重性被标记为“高（High）”。

影响范围

  • 受影响软件：Google Chrome for iOS
  • 受影响版本：所有早于 151.0.7922.72 的版本
  • 不受影响版本：151.0.7922.72 及更高版本

风险分析

该漏洞的 CVSS 向量为 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H，综合评分为 9.6（严重）。其风险特征如下：

  • 攻击途径（AV:N）：攻击者可通过网络远程发起攻击，无需物理接触设备。
  • 攻击复杂度（AC:L）：攻击条件简单，仅需用户通过受影响的 Chrome 浏览器访问一个恶意构造的 HTML 页面。
  • 权限要求（PR:N）：攻击者在攻击前无需任何身份验证或本地权限。
  • 用户交互（UI:R）：攻击需要用户主动点击或浏览恶意页面，但用户无法通过常规操作察觉攻击。
  • 影响范围（S:C）：漏洞利用会导致安全域变更，即从受限的渲染进程逃逸到更高级别的系统环境。
  • 机密性、完整性、可用性（C:H/I:H/A:H）：一旦成功利用，攻击者可以完全控制受影响的设备，读取敏感数据、修改系统文件或执行任意代码，导致设备被彻底攻陷。

攻击后果：由于该漏洞需要攻击者事先已攻陷渲染进程，因此通常作为漏洞链的一部分使用。攻击者首先通过其他漏洞控制渲染进程，然后利用此漏洞突破沙箱，最终在 iOS 系统层面获得任意代码执行能力，可能用于安装恶意软件、窃取用户凭据或进行持久化控制。用户应尽快将 Chrome for iOS 更新至 151.0.7922.72 或更高版本以修复此漏洞。

🔍 技术细节

字段 值
CVE ID CVE-2026-17684
CVSS 评分 9.6 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CWE 分类 CWE-20
发布时间 2026-07-30
最后更新 2026-07-30
状态 Awaiting Analysis
数据来源 chrome-cve-admin@google.com

🔗 参考链接